{"id":112853,"date":"2024-01-12T15:10:23","date_gmt":"2024-01-12T13:10:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem"},"modified":"2024-01-12T15:10:23","modified_gmt":"2024-01-12T13:10:23","slug":"uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-gitlab-pozvolyayushhie-zahvatit-uchyotnuyu-zapis-i-vypolnit-komandy-pod-drugim-polzovatelem","title":{"rendered":"Sicherheitsanf\u00e4lligkeiten in GitLab, die es erm\u00f6glichen, ein Benutzerkonto zu \u00fcbernehmen und Befehle unter einem anderen Benutzer auszuf\u00fchren.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es wurden Korrekturupdates f\u00fcr die Plattform zur gemeinsamen Entwicklung ver\u00f6ffentlicht \u2014 GitLab 16.7.2, 16.6.4 und 16.5.6, in denen zwei kritische Sicherheitsanf\u00e4lligkeiten behoben wurden. Die erste Sicherheitsanf\u00e4lligkeit (CVE-2023-7028), die als \u00e4u\u00dferst gef\u00e4hrlich eingestuft wurde (10 von 10), erm\u00f6glicht es, auf fremde Konten zuzugreifen, indem man Formularmanipulationen im Passwort-Wiederherstellungsprozess nutzt. Diese Sicherheitsanf\u00e4lligkeit resultiert aus der M\u00f6glichkeit, eine E-Mail mit einem Code zum Zur\u00fccksetzen des Passworts an unbest\u00e4tigte E-Mail-Adressen zu senden. Das Problem tritt seit der Version GitLab 16.1.0 auf, in der die Funktion eingef\u00fchrt wurde, einen Wiederherstellungscode an eine nicht verifizierte alternative E-Mail-Adresse zu senden. <\/p>\n
Zur \u00dcberpr\u00fcfung von Kompromittierungen der Systeme wird empfohlen, im Log gitlab-rails\/production_json.log nach HTTP-Anfragen an den Handler \/users\/password zu suchen, die ein Array mehrerer E-Mail-Adressen im Parameter \u201eparams.value.email\u201c angeben. Zudem sollte das Log gitlab-rails\/audit_json.log auf Eintr\u00e4ge mit dem Wert PasswordsController#create in meta.caller.id und einer Auflistung mehrerer Adressen im Block target_details \u00fcberpr\u00fcft werden. Ein Angriff kann nicht erfolgreich ausgef\u00fchrt werden, wenn der Benutzer die Zwei-Faktor-Authentifizierung aktiviert hat. <\/p>\n
Die zweite Anf\u00e4lligkeit CVE-2023-5356 ist im Code f\u00fcr die Integration mit den Services Slack und Mattermost vorhanden und erm\u00f6glicht es, \/-Kommandos unter dem Namen eines anderen Benutzers auszuf\u00fchren, da es an der ordnungsgem\u00e4\u00dfen \u00dcberpr\u00fcfung der Autorisierung mangelt. Der Anf\u00e4lligkeit wurde ein Gef\u00e4hrdungsgrad von 9.6 von 10 zugewiesen. In den neuen Versionen wurde auch eine weniger gef\u00e4hrliche (7.6 von 10) Anf\u00e4lligkeit (CVE-2023-4812) behoben, die es m\u00f6glich macht, die Best\u00e4tigung von CODEOWNERS durch Hinzuf\u00fcgen von \u00c4nderungen zu einem zuvor genehmigten Merge-Request zu umgehen. <\/p>\n